GheistはGitHubの正規機能をどのように悪用しますか？

A. 盗まれた認証情報を使い、機密情報を持ち出します。

Gheistは、流出した開発者のGitHubトークンを悪用し、アクセス可能なリポジトリに不正な自動処理を追加する攻撃キャンペーンです。

攻撃者は、GitHub Actionsという正規の自動化機能を利用して機密情報を収集し、その実行ログを公式API経由で取得します。また、収集した情報を別の形式に変換することで、本来は機密情報を伏せ字にする保護機能を回避します。

データの取得後は実行ログや作成したブランチを数秒以内に削除するため、不正な操作の痕跡が見つかりにくくなっています。

さらに、AWSなどのクラウド環境にアクセスするための認証情報も狙っており、侵害が広がるリスクがあります。

一方、アクセス制限やプラットフォーム側の検知によって失敗した攻撃も多く確認されています。

---

👉 詳細のブログはこちら

Gheist：CI/CD ワークフローを隠れ蓑にする脅威 https://constella-sec.jp/blog/hobokomo-securitynews/tips-1308/